211service.com
L'alternativa di Google alla password
Google sta usando i suoi dipendenti come cavie nel tentativo di eliminare la password come fulcro vulnerabile che protegge tutto, dai profili dei social media ai conti bancari.
Una chiavetta USB compatta come questa potrebbe essere un'alternativa alla digitazione delle password
in an carta imminente da due dipendenti senior di Google che si occupano di sicurezza, portati alla luce per la prima volta di Wired – si scopre che l'azienda sta valutando come rendere la password qualcosa di usato solo raramente. Invece, le prove coinvolgono le persone che accedono semplicemente collegando una chiave USB compatta come l'immagine sopra.
Gli autori di Google, Eric Grosse, vicepresidente dell'ingegneria della sicurezza e Mayank Upadhyay, un ingegnere principale specializzato in sicurezza, elencano molti motivi familiari per cui le password non lo tagliano. Tra questi, che le persone li scelgono male, li perdono, li annotano e li riutilizzano attraverso i servizi; che le password possono essere intercettate da malware; e che i server di password possono essere compromessi su Internet.
La migliore risposta a quei problemi che Google offre attualmente, nota come autenticazione a due fattori , non è una soluzione a lungo termine, scrivi Grosse e Upadhyay. Il sistema è stato sempre più promosso da Google e adottato da milioni di persone e richiede che dopo aver inserito la propria password una persona debba fornire un codice temporaneo da un messaggio di testo o da un'app per smartphone per accedere. Ma i codici visualizzati da messaggi di testo e app possono essere intercettati e il database centrale che tiene traccia dei computer autorizzati esenti dall'autenticazione a due fattori potrebbe essere compromesso.
Il documento afferma che Google sta testando internamente un'alternativa più sicura utilizzando dispositivi che suonano identici al telecomando USB nella foto, realizzato da Yubikey (Recentemente ho incontrato il CEO di Yubikey che ha detto che stavano lavorando con una grande azienda cloud su un grande progetto). Dopo che qualcuno ha collegato la propria chiave univoca al proprio account, è sufficiente collegarla a un computer ogni volta che deve accedere. Google ha creato un nuovo software che consente a un sito Web di utilizzare il browser Chrome per eseguire un breve scambio crittografico con una chiave, dimostrando che sia quello associato all'account di una persona. Nessun dato viene generato durante quello scambio che potrebbe essere utilizzato per impersonare la chiave, quindi senza una chiave nessuno può accedere a un account.
Adottare questo approccio, afferma il documento, potrebbe significare che le persone usano raramente le password e necessitano solo di una password complessa per il backup profondo. L'intenzione della società è quella di rilasciare i dettagli di tale approccio come standard aperto che sarà adottato da altre società.
La proposta dei Googler diventa un po' meno plausibile quando suggeriscono una soluzione al problema che non tutti troveranno conveniente una chiavetta USB:
Alcuni fattori di forma più accattivanti potrebbero comportare l'integrazione con smartphone o gioielli che è probabile che l'utente porti comunque con sé. Vorremmo che il tuo smartphone o il tuo anello da dito con smartcard permetta di autorizzare un nuovo computer tramite un tocco sul computer, anche in situazioni in cui il tuo telefono potrebbe essere senza connettività cellulare.
Uno dei maggiori problemi tecnici di questa idea è che non esiste un metodo ampiamente adottato per consentire ai dispositivi di parlare direttamente tra loro quando si trovano nello stesso posto. Google sta sperimentando chip Near Field Communication che consentono di collegare i dispositivi insieme per connettersi come un'unica soluzione, afferma l'articolo, ma stanno appena comparendo negli smartphone e sono quasi inesistenti nei PC.